マイクロソフト、2月の月例パッチ公開--悪用された脆弱性も

　Microsoftは米国時間2月9日、月例セキュリティパッチ「Patch Tuesday」をリリースした。56件の脆弱性が修正されている。9日のパッチがリリースされるまでに実際に悪用されていた「Windows」の脆弱性も修正された。

　このWindowsのゼロデイ脆弱性（「CVE-2021-1732」）は、Windows OSのコアコンポーネント「Win32k」の特権昇格の脆弱性だ。

　中国のセキュリティ会社DBAPPSecurityの報告によると、このゼロデイは「Bitter」として知られる高度な脅威アクターが利用した。Bitterはこれまでにパキスタンや中国の組織と人々を狙った攻撃を行ってきたとみられている。

「Windows 10」、2021年以降はどうなる？

　2月の月例パッチでは、このゼロデイ脆弱性以外にも注目すべき点がある。パッチのリリース前に詳細が公開された脆弱性が複数あった。

　6件の脆弱性が、9日のパッチリリース前に詳細がオンラインに投稿された。

• CVE-2021-1721：「.NET Core」および「Visual Studio」のサービス拒否（DoS）の脆弱性
• CVE-2021-1733：Sysinternalsの「PsExec」の特権昇格の脆弱性
• CVE-2021-26701：.NET Coreのリモートコード実行の脆弱性
• CVE-2021-1727：「Windows Installer」の特権昇格の脆弱性
• CVE-2021-24098：「Windows Console Driver」のサービス拒否（DoS）の脆弱性
• CVE-2021-24106：「Windows DirectX」の情報開示の脆弱性

　これらの脆弱性は詳細がオンラインに投稿されたが、悪用されたものはなかったようだ。

　さらに、MicrosoftはWindowsのTCP/IPスタックの脆弱性3件についても、修正をリリースした。

　2件（「CVE-2021-24074」「CVE-2021-24094」）はリモートコード実行（RCE）の脆弱性、1件（「CVE-2021-24086」）は、サービス拒否（DoS）の脆弱性だ。

　Microsoftはブログ記事で、「RCEの脆弱性2件は複雑で、機能的なエクスプロイトを作ることが難しく、短期的に（悪用される）可能性はなさそうだ」としている。

　また、「攻撃者はDoSエクスプロイトを非常に素早く作成することが可能になるとわれわれは考えており、3件の問題すべてが、リリース後すぐにDoS攻撃に悪用される可能性があると予想される」とし、「そのため、顧客は2月のWindowsのセキュリティアップデートを迅速に適用するよう推奨する」と説明している。

　さらに、Windows DNSサーバーコンポーネントに存在するリモートコード実行の脆弱性「CVE-2021-24078」も修正された。深刻度のスコアは、10のうち9.8となっている。

　2月の月例パッチの詳細、Microsoft以外の主な企業が公開しているセキュリティアップデートの情報は以下の通りだ。

• Microsoftの公式ポータル「Security Update Guide」には、すべてのセキュリティ更新プログラムがフィルタリング可能な表にまとめられている。
• 米ZDNetもセキュリティアップデートについて1ページにまとめて掲載している。
• Adobe関連のセキュリティ更新情報は、公式サイトで詳しく説明されている。
• SAP関連のセキュリティ更新は公式サイトで公開されている。
• Intel関連のセキュリティ更新は公式サイトで公開されている。
• VMware関連のセキュリティ更新は、公式サイトで詳しく説明される。
• 「Chrome 88」のセキュリティアップデートは、公式サイトで詳しく説明されている。
• 2月の「Android Security Bulletin」も公開されている。